feat(ai-config): cifra la API key en reposo y la acota por tenant

Prepara el terreno para que el cliente cargue su propia cuenta de IA sin
que su clave quede en texto plano ni que el selector le muestre las de
los demás.

- ClaveEnClaro() descifra con fallback a texto plano: las filas viejas se
  leen igual y quedan cifradas al primer guardado, sin script ni downtime.
  utils.Decrypt hace panic (no devuelve error) con entrada que no es un
  ciphertext válido, así que el fallback va sobre recover — eso mismo es
  el mecanismo de detección de "todavía está en claro".
- Migrados TODOS los lectores: uMind (chat y embeddings), bot de Telegram,
  Whisper, Query Runner, streaming de IA y Landing Generator. Un lector
  sin migrar mandaría el ciphertext como API key.
- AiConfig gana TenantID (null = global del staff) y
  GetAiConfigSelectPorTenants para acotar el selector.
- Test de los 4 casos del fallback, incluido hex válido que no descifra.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

pkg/services/telegram_agent_service.go

@@ -1314,7 +1314,7 @@ func callOpenAICompatibleAI(ai *models.AiConfig, messages []agentMessage, tools
 	if err != nil {
 		return nil, err
 	}
-	req.Header.Set("Authorization", "Bearer "+ai.ApiKey)
+	req.Header.Set("Authorization", "Bearer "+ai.ClaveEnClaro())
 	req.Header.Set("Content-Type", "application/json")
 
 	client := &http.Client{Timeout: 120 * time.Second}
@@ -1461,7 +1461,7 @@ func callAnthropicAI(ai *models.AiConfig, messages []agentMessage, tools []agent
 	if err != nil {
 		return nil, err
 	}
-	req.Header.Set("x-api-key", ai.ApiKey)
+	req.Header.Set("x-api-key", ai.ClaveEnClaro())
 	req.Header.Set("anthropic-version", "2023-06-01")
 	req.Header.Set("Content-Type", "application/json")
 

pkg/services/umind_embeddings_service.go

@@ -46,7 +46,7 @@ func GenerarEmbeddings(ai *models.AiConfig, textos []string) ([][]float32, error
 	if err != nil {
 		return nil, err
 	}
-	req.Header.Set("Authorization", "Bearer "+ai.ApiKey)
+	req.Header.Set("Authorization", "Bearer "+ai.ClaveEnClaro())
 	req.Header.Set("Content-Type", "application/json")
 
 	resp, err := umindEmbeddingsHTTPClient.Do(req)

pkg/services/whisper_service.go

@@ -26,7 +26,7 @@ func TranscribirAudio(ai *models.AiConfig, audioPath string) (string, error) {
 	if ai == nil {
 		return "", fmt.Errorf("no hay una configuración de Whisper activa: ve a /app/ai-config, crea o edita una y márcale el módulo 'Transcripción de audio (Whisper)'")
 	}
-	if ai.ApiKey == "" {
+	if ai.ClaveEnClaro() == "" {
 		return "", fmt.Errorf("la configuración de Whisper '%s' no tiene API key", ai.Nombre)
 	}
 
@@ -66,7 +66,7 @@ func TranscribirAudio(ai *models.AiConfig, audioPath string) (string, error) {
 	if err != nil {
 		return "", err
 	}
-	req.Header.Set("Authorization", "Bearer "+ai.ApiKey)
+	req.Header.Set("Authorization", "Bearer "+ai.ClaveEnClaro())
 	req.Header.Set("Content-Type", writer.FormDataContentType())
 
 	resp, err := whisperHTTPClient.Do(req)